[아이템 86] Serializable을 구현할지는 신중히 결정하라

직렬화 하는 방법

import java.io.Serializable;

public class Student implements Serializable{

	String name;
	int grade;
	
}

• Serializable만 구현하면 된다. 너무 쉽게 적용할 수 있기 때문에 프로그래머가 특별히 신경 쓸 게 없다는 오해가 생길 수 있지만, 진실은 훨씬 더 복잡하다. 직렬화를 지원하기란 짧게 보면 손쉬워 보이지만, 길게 보면 아주 값비싼 일이다.

직렬화에 신중해야 하는 이유

1. 릴리스한 뒤에는 수정하기 어렵다.

   직렬화하게 되면, 직렬화된 바이트 스트림 인코딩도 하나의 공개 API가 된다. 그래서 이 클래스가 널리 퍼진다면 그 직렬화 형태도 영원히 지원해야 한다.

   private과 package-private 인스턴스 필드들마저 API로 공개되어 캡슐화가 깨지게 된다. private을 포함한 내부 구조가 변경되면, 직렬화 형태도 달라진다. 구 버전 인스턴스를 직렬화하고 다른 쪽은 신버전 클래스로 역직렬화한다면 실패하게 된다.

   ex) Student class에 새로운 field가 추가 되면 직렬화 형태도 달라지게 되는 것

2. 버그와 보안 구멍이 생길 위험이 높아진다.

   객체는 생성자를 사용해 만드는 것이 기본이다. 역직렬화도 객체 생성 기법이기에 불변식을 모두 보장해야 하고 생성 도중 공격자가 객체 내부를 들여볼 수 없도록 해야 하며, 기본 역직렬화를 사용하면 불변식 깨짐과 허가되지 않은 접근에 쉽게 노출되게 된다. (아이템 88)

3. 해당 클래스의 신버전을 릴리스할 때 테스트할 것이 늘어난다.

   직렬화 가능 클래스가 수정되면 신버전 인스턴스를 직렬화한 후 구버전으로 역직렬화할 수 있는지, 그리고 그 반대도 가능한지를 검사해야 한다.

   또한, 객체를 충실히 복제해내는지를 반드시 확인해야 한다.

직렬화 예시

Serializable 구현에 따르는 비용이 적지 않으니, 클래스를 설계할 때마다 그 이득과 비용을 잘 저울질해야 한다.

역사적으로 BigInteger와 Instance 같은 '값'클래스와 컬렉션 클래스들은 Serializable을 구현하고, 스레드 풀처럼 '동작'하는 객체를 표현하는 클래스들은 대부분 Serializable을 구현하지 않았다.

상속용으로 설계된 클래스는 대부분 Serializable을 구현하면 안 되며, 인터페이스도 대부분 Serializable을 확장해서는 안 된다. 이 규칙을 따르지 않으면, 그런 클래스를 확장하거나 그런 인터페이스를 구현하는 이에게 커다란 부담을 지우게 된다.

상속용으로 설계된 클래스 중 Serializable을 구현한 예로는 Throwable과 Component가 있다. Throwable은 서버가 RMI를 통해 클라이언트로 예외를 보내기 위해 Serializable을 구현했다. Component는 GUI를 전송하고 저장하고 복원하기 위해 Serializable을 구현했지만, Swing과 AWT가 널리 쓰이던 시절에도 현업에서 이런 용도로는 거의 쓰이지 않았다.

직렬화와 확장이 가능한 경우 주의할 점

1. 인스턴스 필드 값 중 불변식을 보장해야 할 게 있다면 반드시 하위 클래스에서 finalize 메서드를 재정의하지 못하게 해야 한다. 즉, finalize 메서드를 자신이 재정의하면서 final로 선언하면 된다. 이렇게 해두지 않으면 finalizer 공격을 당할 수 있다.

2. 인스턴스 필드 중 기본값으로 초기화되면 위배되는 불변식이 있다면 클래스에 다음의 readObjectNoData 메서드를 반드시 추가해야 한다.

   이 메서드는 자바 4에 추가된 것으로, 기존의 직렬화 가능 클래스에 직렬화 가능 상위 클래스를 추가하는 드문 경우를 위한 메서드다.

   private void readObjectNoData() throws InvalidObjectException {
   		throw new InvalidObjectException("스트림 데이터가 필요합니다");
   }
   

   예시 코드)

   직렬화 할 때 코드

   public class Employee implements Serializable {
   	protected String address;
   	static final long serialVersionUID = 1L;
   
   	public Employee(){
   		address ="sample address";
   	}
   }
   

   직렬화 후 수정된 코드

   public class Employee extends Person implements Serializable {
   	protected String address;
   	static final long serialVersionUID = 1L;
   
   	public Employee(){
   		address ="sample address";
   	}
   }
   

   public class Person implements Serializable{
   
   	String name;
   	int age;
   	
   	public Person() {
   		
   	}
   	
   	public Person(String name, int age) {
   		this.name = name;
   		this.age = age;
   	}
   
   	private void readObjectNoData() throws ObjectStreamException {
   		name = "test";
   		age = 1;
   	}
   	
   }
   

3. 내부 클래스는 직렬화를 구현하지 말아야 한다. 단, 정적 멤버 클래스는 Serializable을 구현해도 된다.

   Java.io.NotSerializableException이 발생하게 된다. Outer class의 인스턴스에 대한 정의가 불명확하기 때문인 것이라 판단된다.

핵심 정리

Serializable은 구현한다고 선언하기는 아주 쉽지만, 그것은 눈속임일 뿐이다. 한 클래스의 여러 버전이 상호작용할 일이 없고 서버가 신뢰할 수 없는 데이터에 노출될 가능성이 없는 등, 보호된 환경에서만 쓰일 클래스가 아니라면 Serializable 구현은 아주 신중하게 이뤄져야 한다. 상속할 수 있는 클래스라면 주의사항이 더욱 많아진다.